攻撃者がこのレベルのアクセス権を保持している時間が長ければ長いほど、影響は大きくなります。防御側は、この段階をできるだけ早く検出し、法医学的証拠を収集できるツールを展開する必要があります。一例として、損害評価のためのネットワーク パケット キャプチャが挙げられます。侵入者は最初の 6 つの段階を経て初めて、本来の目的を達成するための行動を起こすことができます。通常、知識の流出の標的には、被害者の環境から情報を収集、暗号化、および抽出することが含まれます。知識の完全性または可用性の違反も潜在的な目標です。あるいは、最も一般的な方法として、侵入者は最初の被害者のボックスへのアクセスをホップ ポイントとして使用して、追加のシステムを侵害し、ネットワーク内を横方向に移動することのみを望んでいる可能性があります。環境内でこの段階が特定されたら、準備された対応計画の実装を開始する必要があります。少なくとも、計画には包括的なコミュニケーション計画、詳細な証拠を最高位の役人または理事会に昇格させる必要があること、データ損失を防ぐためのエンドポイント セキュリティ ツールの展開、および CIRT チームへのブリーフィングの準備を含める必要があります。これらのリソースを事前に十分に確立しておくことは、今日の急速に進化するサイバーセキュリティの脅威の状況において「必須」である可能性があります

攻撃者が準備を完了したら、次のステップはターゲットの環境内でエッジを実現するための努力です。特に一般的な侵入手口は、インターネット リンクや添付ファイルを含むスピアフィッシング メールを使用することです。電子メール リンクは通常、標的のブラウザや関連ソフトウェアがさまざまな悪用手法にさらされるサイトや、後で使用される犠牲者からの情報をソーシャル エンジニアリングすることを APT アクターが計画しているサイトを引き起こします。エクスプロイトが成功すると、最初のマルウェア ペイロードが被害者のコンピュータにインストールされます。図 2 は、添付ファイルを含むスピアフィッシング メールの例を示しています。添付ファイルは通常、実行可能なマルウェア、ジッパー、またはマルウェアを含むその他のアーカイブです。または、被害者のアプリケーション内の脆弱性を悪用して最終的に被害者のコンピューターでマルウェアを実行する、悪意のある Office または Adob​​e PDF (Portable Document Format) ドキュメント。ユーザーが脆弱なソフトウェアを使用して悪意のあるファイルを開くと、標的のシステムでマルウェアが実行されます。これらのフィッシング メールは多くの場合、非常に説得力があり、正当なメール メッセージと区別するのが困難です。信憑性を高めるための戦術には、組織からの、または組織に関連付けられた正当なドキュメントの変更が含まれます。ドキュメントは、以前の悪用操作中に、組織またはその協力者から盗まれることがあります。アクターは、エクスプロイトや悪意のあるコードを追加してドキュメントを変更し、被害者に送信します。フィッシング メールは通常、以前に侵害されたメール サーバーを介して送信されます。ターゲットまたはパブリックの電子メール サービスに関連付けられている組織の電子メール アカウント。電子メールは、正当なソースから発信されたように見えるメッセージを形成するために、電子メール ヘッダーが変更されたメール リレーを介して送信されることもあります。公開サーバーの脆弱性の悪用は、一部の APT グループが好むもう 1 つの手法です。これは既知の脆弱性に対するエクスプロイトを使用して達成されますが、必要に応じて侵入に使用するために 0-day が開発または購入されることがよくあります。